Een grote beveiligingsmuur rondom je bedrijf bouwen is één ding, maar hoe voorbereid ben je wanneer een aanvaller toch het systeem binnendringt?
“Er zijn twee soorten bedrijven: zij die gehackt zijn, en zij die nog gehackt zullen worden.” De uitspraak van voormalig FBI Director Robert Mueller houdt al jarenlang steek. Toch onderschatten veel organisaties nog altijd hoe kwetsbaar ze zijn, al is er één manier om daar snel achter te komen: pentesten.
Wie het televisieprogramma ‘Hacked’ volgde, zag hoe ethische hackers bij verschillende Belgische bedrijven binnendrongen om hun zwakke plekken bloot te leggen. Keanu Nys, ethische hacker bij Spotit was één van die hackers. “In het echte leven gaan we niet zo ver”, vertelt hij lachend. “Het programma heeft IT-managers en bedrijfsleiders wakker geschud”, stelt hij. “Ze zien steeds meer het nut in van ethisch hacken.”
Zwakke punten
Tijdens één van de afleveringen probeerden de ethische hackers op het netwerk van Stad Herentals te geraken, en met succes. Het team kon in een mum van tijd het netwerk van de stad binnendringen via een onbeveiligde printer. “We botsten niet toevallig op die printer”, vertelt Nys.
“We hebben al honderden van deze tests gedaan bij organisaties en de netwerkprinter komt er vaak uit als zwak punt. “Deze printers worden vaak geconfigureerd om bestanden op te slaan of mails te versturen, waarvoor opgeslagen credentials nodig zijn die relatief makkelijk op te halen zijn. Die credentials hebben soms veel te veel rechten”, merkt hij op.
Ben jij voorbereid?
Bedrijven denken vaak dat ze voorbereid zijn, maar de realiteit kan er anders uitzien. Volgens de 2025 Cisco Cybersecurity Readiness Index is slechts vier procent van de organisaties volledig voorbereid op moderne cyberaanvallen, terwijl 34 procent dénkt dat te zijn. Van de organisaties die er zeker van zijn dat ze volledig weerbaar zijn, heeft dus maar ongeveer één op de tien dat ook effectief in orde.
Nys deelt enkele tips voor bedrijven die hun cybersecurity willen versterken. Multifactorauthenticatie (MFA) is de eerste tip die hij meegeeft, al is dat volgens hem niet meer vermeldenswaardig, en zou het een standaardreflex moeten zijn. “Er zijn nog altijd heel veel organisaties die het niet toepassen of denken dat ze het hebben, maar dan toch een paar uitzonderingen voor bepaalde gebruikers of applicaties hebben. Dan wordt het heel eenvoudig voor aanvallers.”
“Verder zijn er passwordmanagers om eenvoudig en veilig verschillende wachtwoorden voor al je websites te genereren, terwijl je maar één wachtwoord moet onthouden”, vult hij aan. Verder benadrukt hij het belang van phishing-awareness en trainingen voor werknemers. “Phishing blijft een heel grote aanvalsfactor en iets dat we zelf bij pentesten regelmatig misbruiken.”
Nys benadrukt dat er ook diverse tools bestaan om het grootste deel van phishingaanvallen te detecteren en tegen te houden, zowel op het moment dat het in je mailbox komt of wanneer je erop klikt. “Je gaat dit nooit 100 procent kunnen afdekken, dus voor het percentage dat er toch doorgeraakt is awareness-training bij medewerkers aangeraden.
Voorkomen én genezen
Volgens Nys heerst er bij bedrijven vaak een verkeerde mindset. “Ze focussen zich te hard op het 100 procent voorkomen van aanvallen en te weinig op de detectie ervan. “Aanvallers zullen altijd wel ergens binnen geraken”, stelt hij.
“Eenmaal ze op een gebruikersaccount of computer zitten, moet het effectieve werk nog beginnen, zoals bijvoorbeeld op zoek gaan naar manieren om meer rechten te verkrijgen. Die zoektocht kan snel opvallen binnen systemen. Als je dan goede tools hebt of een securityteam die incidenten opvolgt, kan je de aanval alsnog voorkomen en de impact beperkten.”
Pentesten
Kmo’s of bedrijven met beperkte budgetten die toch hun cyberveiligheid willen aftoetsen, kunnen starten met een pentest. “Veel kleine organisaties weten niet goed waar ze moeten beginnen: ze hebben een aantal IT-partners, alles lijkt goed ingesteld, maar een concreet overzicht van de risico’s ontbreekt”, vertelt Nys.
Een pentest kan dan heel wat helderheid bieden. “Dit kan je al doen voor een bepaald aantal dagen waarbij we niet fysiek inbreken, maar puur op technisch vlak zoeken naar securityproblemen.” Hieruit volgt een lijst van de grootste securityproblemen om bedrijven een houvast te bieden zodat ze geïnformeerde keuzes kunnen maken.
“De meeste klanten die een pentest laten uitvoeren, doen dat ongeveer jaarlijks, en dat is ook noodzakelijk. Security-uitdagingen evolueren voortdurend en er komen steeds nieuwe kwetsbaarheden bij, waardoor regelmatige tests nodig zijn om aanvallers voor te blijven”, besluit Nys.